فضيحة بيانات: موقع UK Visa Portal يترك 100 ألف جواز سفر وصورة شخصية مكشوفة للعامة

في أواخر مايو 2026، تسبب خطأ أمني في موقع طرف ثالث يقدّم خدمات مساعدة للحصول على التأشيرة البريطانية في كارثة خصوصية هزت أوساط الأمن السيبراني. الموقع الذي يحمل اسم "UK Visa Portal" لم يكن تابعاً للحكومة البريطانية بأي صلة، بل كان مجرد خدمة تجارية مستقلة، لكنه أوهم آلاف المستخدمين بأنه قناة رسمية، مما دفعهم لتحميل أكثر وثائقهم حساسية: صور جوازات السفر وصور السيلفي الشخصية . والأكثر إثارة للدهشة والغضب من التسريب نفسه، كان رد فعل الشركة المشغلة التي فضّلت إرسال المحامين بدلاً من فريق تقني لإصلاح الخلل.

الثغرة: سحابة تخزين "مفتوحة على مصراعيها" وخطأ برمجي خلفي

وفقاً لتحقيق أجراه موقع TechCrunch المتخصص بأخبار التكنولوجيا، فإن سبب الكارثة يعود إلى ثغرتين متكاملتين . الأولى، والأكثر شيوعاً، هي ترك "دلو" تخزين سحابي من نوع أمازون S3 (Amazon S3 bucket) بدون أي حماية أو كلمة مرور . والثانية، وهي الأخطر، كانت ثغرة برمجية خلفية في موقع UK Visa Portal سمحت لأي شخص بالدخول إلى "فهرس" الملفات ومعرفة أسماء جميع الملفات المخزنة، مما سهّل عملية الوصول إليها بشكل كبير .

النتيجة كانت صادمة: ما لا يقل عن 100 ألف وثيقة حساسة، تتضمن صوراً عالية الدقة لجوازات السفر، وصور سيلفي للتحقق من الهوية، وبيانات طلبات أخرى، كانت في متناول أي شخص يعرف أين يبحث . وللتأكد من صحة التسريب، تواصل فريق TechCrunch مع عدة أشخاص ظهرت بياناتهم ضمن الملفات المكشوفة، وأكدوا جميعاً أن تلك الوثائق تخصهم وحمّلوها عبر الموقع .

من يقف وراء UK Visa Portal؟

بعيداً عن التصور الذي قد يكون لدى الكثيرين، موقع UK Visa Portal هو كيان تجاري بحت لا يمت بصلة لوزارة الداخلية البريطانية (Home Office) أو الموقع الحكومي الرسمي GOV.UK . تشير التقارير إلى أن الموقع تديره شركة تحمل اسم "Active Leadgen LLC" ومسجلة في دولة الإمارات العربية المتحدة .

كانت المنصة تفرض رسوماً على المستخدمين مقابل "مساعدتهم" في التقديم على تصريح السفر الإلكتروني البريطاني (ETA) وتطبيقات هجرة أخرى. المثير للسخرية أن هذه الإجراءات غالباً ما تكون متاحة بشكل مباشر ومجاني (أو بتكلفة أقل بكثير) عبر موقع الحكومة الرسمي GOV.UK، ولا تستغرق سوى دقائق معدودة . وكأن الطين لم يكن بلة، فقد افتقر الموقع أيضاً إلى ميزة أساسية في أي منصة تتعامل مع بيانات بهذه الحساسية: وسيلة اتصال واضحة أو آلية إبلاغ عن الثغرات الأمنية، مما صعّب على الباحثين أو المستخدمين العاديين التبليغ عن المشكلة .

استجابة الشركة: تهديدات قانونية بدلاً من الإصلاح

ربما يكون الجانب الأكثر إثارة للجدل في هذه القضية هو الطريقة التي اختارت بها الشركة التصرف - أو بالأحرى، عدم التصرف - بعد اكتشاف الكارثة. عندما تواصل موقع TechCrunch مع الشركة لتنبيهها وعرض تفاصيل الثغرة قبل النشر، أشار التقرير إلى أن الموقع لم يقم بإصلاح الخلل الأمني في ذلك الوقت .

بدلاً من المبادرة فوراً لتأمين الخوادم المكشوفة وإصدار بيان عام لإخطار الضحايا، سلكت الشركة طريقاً مختلفاً تماماً. فقد أكدت تقارير متعددة أن شركة Active Leadgen LLC أوفدت ممثلين قانونيين في محاولة واضحة للضغط على موقع TechCrunch وتهديده بسبب نيته نشر القصة . لم يتم إغلاق الثغرة إلا بعد ساعات من نشر مقال TechCrunch، أي أن الإصلاح جاء كرد فعل على الفضيحة الإعلامية وليس نتيجة لأي مسؤولية أخلاقية أو تقنية .

التداعيات والمخاطر على الضحايا

مجموعة البيانات التي تم كشفها لا تقتصر على كونها محرجة، بل تمثل تهديداً حقيقياً وخطيراً لسلامة الأفراد. فدمج صور جوازات السفر عالية الدقة مع صور السيلفي الخاصة بالتحقق، وربما حتى بيانات الموقع الجغرافي، يمنح الجهات الخبيثة أدوات مثالية لتنفيذ عمليات:

• انتحال الهوية: لفتح حسابات بنكية أو الحصول على قروض.
• الاحتيال المالي: باستخدام بيانات الهوية المسروقة.
• هجمات الهندسة الاجتماعية: لخداع الضحايا أو معارفهم.

الكثير من الضحايا لم يكن لديهم أدنى فكرة أنهم يتعاملون مع خدمة غير حكومية، مما جعل وقع الصدمة أشد قسوة . تذكر دائمًا أن القناة الرسمية الوحيدة للتقديم على التأشيرات البريطانية هي موقع GOV.UK، وهذه الحادثة بمثابة جرس إنذار قوي لضرورة التدقيق في أي جهة خارجية تطلب وثائق هوية فائقة الحساسية.